2단계 인증이 모든 계정에 필요한 이유

비밀번호만으로는 한 곳이 뚫리면 전부 뚫립니다. 비밀번호를 추측당하거나, 나중에 유출된 사이트에서 재사용했거나, 진짜처럼 보이는 가짜 로그인 페이지에 입력했다면 그것을 가진 사람은 누구든 나로 로그인할 수 있습니다. 흔히 2FA라고 줄여 부르는 2단계 인증은 내가 아는 것과는 무관한 두 번째 확인을 더합니다. 휴대폰이나 물리적인 키처럼 내가 가진 것, 또는 지문처럼 나 자신인 것입니다.

그 결과 도난당한 비밀번호만으로는 더 이상 충분하지 않게 됩니다. 비밀번호를 알고 있는 공격자도 인증 앱의 코드, 보안 키를 누르는 동작, 신뢰하는 기기에서의 승인이 있어야 합니다. 일반 계정에 대한 공격 중 상당수는 자동화되어 있고 기회를 노리는 방식이므로, 이 추가 단계는 나를 손쉬운 표적에서 빼내 계정 탈취를 훨씬 어렵게 만듭니다.

2FA가 좋은 비밀번호를 대신하는 것은 아닙니다. 비밀번호 관리자에 저장한 길고 고유한 비밀번호 위에 얹을 때 가장 효과적입니다. 두 가지는 서로의 약점을 보완합니다. 고유한 비밀번호는 다른 곳에서 일어난 유출의 피해를 제한하고, 두 번째 요소는 비밀번호가 어쨌든 유출되었을 때 나를 지켜 줍니다.

인증 앱은 QR 코드를 스캔할 때 서비스가 앱과 공유한 비밀 값을 바탕으로, 보통 여섯 자리이고 대개 30초마다 바뀌는 짧은 코드를 새로 만들어 냅니다. 오프라인에서도 작동하고, 대체로 무료이며, 대부분의 주요 플랫폼이 지원하므로 대다수 사람에게 합리적인 기본값입니다.

하드웨어 보안 키는 로그인할 때 대거나 꽂는 작은 USB, NFC, 블루투스 기기입니다. 패스키도 비슷한 원리이지만 휴대폰이나 컴퓨터에 저장되고 지문, 얼굴, 기기 PIN으로 잠금이 풀립니다. 둘 다 실제 웹사이트 주소에 묶여 있어 비슷하게 만든 피싱 페이지에는 반응하지 않습니다. 그래서 일반 사용자가 쓸 수 있는 가장 강력한 방식입니다.

푸시 알림은 이미 로그인된 기기에서 로그인을 승인하도록 요청합니다. 문자와 음성 코드는 휴대폰 번호로 일회용 코드를 보냅니다. 백업 코드는 평소 방식을 쓸 수 없는 비상시를 위한 일회용 코드 목록입니다. 대부분의 서비스는 둘 이상의 방식을 켤 수 있게 해 주며, 그렇게 하는 편이 좋습니다. 주된 방식 하나에 최소 하나의 대체 수단을 두세요.

문자 메시지 코드는 두 번째 요소가 아예 없는 것보다 훨씬 낫지만, 내 휴대폰 번호에 의존하는데 이 번호는 온전히 내 통제 아래에 있지 않습니다. SIM 스와핑에서는 범죄자가 이동통신사 직원을 설득하거나 매수해 내 번호를 자신이 가진 SIM 카드로 옮깁니다. 그 순간부터 나에게 올 코드는 모두 그 사람의 휴대폰에 도착합니다.

문자 코드는 비밀번호처럼 피싱을 당할 수도 있습니다. 가짜 로그인 페이지가 코드를 요구하면 공격자가 몇 초 안에 진짜 사이트로 전달합니다. 더 평범한 이유로 접근을 잃기도 합니다. 로밍 없이 해외에 나가거나, 통신사를 바꾸거나, 선불 번호가 만료되었다가 나중에 다른 사람에게 재할당되는 경우입니다.

서비스가 인증 앱, 보안 키, 패스키를 제공한다면 그쪽으로 바꾸고 문자는 대체 수단으로만 남기거나, 서비스가 허용하면 아예 제거하세요. 문자만 가능하다면 번호 자체를 보호하세요. 많은 통신사가 계정 PIN이나 이전 잠금을 설정할 수 있게 해 주어 무단 번호 이동을 더 어렵게 만듭니다.

다른 모든 것을 열어 주는 계정부터 시작하세요. 비밀번호 재설정 링크를 받는 주 이메일 주소가 먼저이고, 그다음 Apple, Google, Microsoft 계정, 비밀번호 관리자, 돈이나 귀중한 데이터가 있는 계정 순입니다. 이들을 보호한 뒤 소셜 네트워크, Telegram과 Discord 같은 메신저 등 나머지로 넘어가세요.

이 옵션은 보통 계정의 보안 설정 안에 2단계 인증, 이중 인증, 로그인 확인 같은 이름으로 있습니다. 인증 앱이나 보안 키 옵션을 고르고, 앱으로 QR 코드를 스캔한 뒤 앱에 표시된 코드를 입력해 모든 것이 작동하는지 확인하세요. 서비스가 패스키를 지원한다면 휴대폰과 컴퓨터에 하나씩 추가해 두면 편리하면서도 피싱에 강한 로그인 방법이 생깁니다.

설정 페이지를 닫기 전에 백업 코드를 저장하고, 가능하면 두 번째 방식을 추가하고, 복구용 이메일과 전화번호가 최신이며 내 것인지 확인하세요. 그런 다음 한 번 로그아웃했다가 다시 로그인해 보세요. 실제로 의지하게 되기 전에 인증 화면이 어떻게 생겼는지 알아 두기 위해서입니다.

백업 코드는 휴대폰을 잃어버리거나, 망가지거나, 초기화되었을 때 다시 들어갈 수 있는 길입니다. 각 코드는 한 번만 쓸 수 있고, 많은 서비스에서 새 세트를 만들면 이전 세트는 무효가 됩니다. 집 여분 열쇠처럼 다루세요. 필요할 때는 꼭 있어야 하고, 찾을 수 없으면 쓸모없고, 낯선 사람이 갖게 되면 위험합니다.

보관하기 좋은 곳은 중요한 서류와 함께 둔 인쇄본이나, 인증 앱이 있는 휴대폰 없이도 열 수 있는 비밀번호 관리자의 암호화된 메모입니다. 좋지 않은 곳은 이메일 받은편지함, 잠금이 없는 메모 앱, 사진 갤러리의 스크린샷, 코드를 생성하는 기기와 같은 기기에 있는 파일입니다. 그 기기 하나를 잃으면 완전히 잠겨 버리기 때문입니다.

코드를 쓸 때마다 지우고, 얼마 남지 않으면 새 세트를 만드세요. 누군가 코드를 봤다고 의심되면 곧바로 다시 생성해 이전 목록이 더 이상 작동하지 않게 하세요.

동료가 프로젝트 계정을 넘겨주었든 디지털 상품 마켓플레이스에서 구매했든, 다른 사람에게서 계정을 얻었다면 이전 사용자가 아직 접근할 수 있다고 가정하세요. 목표는 나만 로그인할 수 있게 만드는 것입니다. 계정은 항상 브랜드의 이용약관에 맞게 사용하세요.

이 순서로 진행하세요. 비밀번호를 새로운 고유한 것으로 바꾸고, 복구용 이메일과 전화번호를 내가 통제하는 것으로 바꾸고, 내가 추가하지 않은 인증 앱, 보안 키, 신뢰 기기를 제거한 뒤, 내 앱으로 2FA를 켜고 새 백업 코드를 만드세요. 마지막으로 활성 세션을 확인해 내 기기를 제외한 모든 기기에서 로그아웃하세요.

rStock에서는 전달된 내용이 주문 페이지에 주문과 연결된 전달 내역으로 나타나므로, 거기서 바로 비밀번호 관리자로 정보를 복사할 수 있습니다. 결제 금액은 보류되어 스토어에 곧바로 지급되지 않으며, 전달된 계정이 설명대로 작동하지 않으면 전달 후 제한된 기간 안에 분쟁을 제기할 수 있습니다. 먼저 스토어가 답변하고, 합의하지 못하면 중재자를 호출할 수 있습니다. 계정을 빨리 보호하고 점검하면 그 기간이 남아 있는 동안 문제를 알아채는 데 도움이 됩니다. rStock은 이 글에 언급된 어떤 브랜드와도 제휴 관계가 아닙니다.

내가 시작하지 않은 푸시 알림을 승인하는 것은 2FA가 뚫리는 잘 알려진 경로입니다. 로그인 중이 아닐 때 요청이 나타나면 거부하고 비밀번호를 바꾸세요. 이미 누군가 비밀번호를 갖고 있다는 뜻이기 때문입니다. 전화나 메시지로 코드를 읽어 달라는 사람에게도 마찬가지입니다. 정상적인 서비스는 일회용 코드를 누구에게도 알려 달라고 하지 않습니다.

또 다른 실수는 2FA로 계정을 보호하면서 오래되고 약한 복구 경로를 열어 두는 것입니다. 쓰지 않는 이메일 주소나 더 이상 쓰지 않는 전화번호가 그 예입니다. 공격자는 약한 문이 열려 있으면 가장 튼튼한 문을 우회합니다. 휴대폰이나 이메일 제공업체를 바꿀 때마다 복구 옵션을 점검하세요.

마지막으로, 새 휴대폰이 도착할 때까지 코드를 옮길 계획을 미루지 마세요. 기기를 교체하거나 초기화하기 전에 인증 코드를 옮기고, 새 기기에서 작동하는지 확인한 다음에야 이전 기기를 지우세요. 몇 분의 준비가 몇 시간의 계정 복구를 덜어 줍니다.